FortiGate の認証情報の漏えい（通称「FortiBleed」）について、Fortinet 公式は新しい脆弱性ではないと説明し、過去のインシデントで取得された認証情報の再利用と総当たり（ブルートフォース）が原因との見方を示しています。JPCERT/CC は、漏えいした情報に国内企業に関連するものが含まれていることを確認しています。この記事では、何が漏れたのか、日本の機器も含まれるのか、利用企業は何を確認すべきかを、JPCERT/CC・Fortinet・米FBI／シークレットサービス・米CISA などの公式発表（2026年10月24日確認）だけで整理します。書かれていないことは「公式に記載なし」とします。
【結論】Fortinet は「This is not a new Fortinet vulnerability」（Fortinet の新しい脆弱性ではない）とし、過去のインシデント（FG-IR-26-060・FG-IR-25-647）の認証情報の再利用と、MFA（多要素認証）のない機器への総当たりが原因との見方です。
- 漏れたのは FortiGate などのログイン情報と設定情報。設定ファイルの管理者パスワードのハッシュが解読されている恐れもある（JPCERT/CC）
- JPCERT/CC は「過去情報の再流通としてのみ扱うべきではない」という研究者の指摘も紹介し、国内企業に関連する情報が含まれていることを確認
- 公式の対策：セッション切断とパスワード再設定、MFA、PBKDF2 対応ファームへの更新、設定とログの確認、管理画面へのアクセス制限
公式発表でわかること早見表
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 何が漏れたか | 機器のログイン情報と、管理者パスワードのハッシュを含む設定情報（JPCERT/CC） |
| 規模 | SOCRadar の発表によると、194か国・86,644台を超える機器の認証情報（FBI・シークレットサービスと JPCERT/CC も引用） |
| 新しい脆弱性か | Fortinet は新しい脆弱性ではなく、直近のインシデントやアドバイザリとも関係ないと説明 |
| 日本の機器 | JPCERT/CC が国内企業に関連するものを確認。台数は公式に記載なし |
| Fortinet からの連絡 | 影響を受けた可能性のあるシステムを特定し、該当する顧客に連絡を進めている |
| 二次被害 | 機器から締め出される（ロックアウト）事例の報告、ランサムウェアの攻撃者への侵入口の提供（FBI・シークレットサービス） |
時系列：公表された順番
FortiBleed についての Fortinet と JPCERT/CC の発表は2026年6月です。10月には米国の共同アドバイザリと、別の侵害事例の研究報告が続きました。
| 日付 | 発表した組織 | 内容 |
|---|---|---|
| 2025年12月9日 | Fortinet | FG-IR-25-647（CVE-2025-59718）。Fortinet が挙げた「過去のインシデント」の1つ |
| 2026年1月27日 | Fortinet | FG-IR-26-060（CVE-2026-24858）。もう1つの「過去のインシデント」 |
| 2026年6月16日 | SOCRadar | FortiBleed の調査結果を公表（9月3日に更新） |
| 2026年6月19日 | Fortinet | PSIRT ブログで、新しい脆弱性ではないとする分析と推奨対策 |
| 2026年6月23日 | JPCERT/CC | 注意喚起（JPCERT-AT-2026-0019）を公開 |
| 2026年10月6日 | FBI・米シークレットサービス | 共同アドバイザリ。活動の継続とロックアウトの報告 |
| 2026年10月14日 | Unit 42 | 通信事業者の FortiManager が侵害された別の事例を報告 |
| 2026年10月16日 | 米CISA | CVE-2025-61624 を既知の悪用された脆弱性（KEV）カタログに追加 |
JPCERT/CC の注意喚起は、2026年10月24日の時点で「最終更新: 2026-06-23」のままです。IPA（情報処理推進機構）の2026年度の注意喚起一覧には、本件を扱うものは見当たりませんでした（2026年10月24日確認）。
何が漏れたのか：ログイン情報と設定ファイル
JPCERT/CC は SOCRadar の確認として、「攻撃者が運用するデータベースに194カ国にわたる企業や政府機関に属する86,644台以上の機器のログイン情報が含まれている」と紹介しています。
もう1つが設定ファイルです。JPCERT/CC は「FortiGateの設定ファイルには管理者パスワードのハッシュが含まれており、設定ファイルが取得された場合、デバイスへの直接アクセスがなくともオフライン解析によりパスワードが解読されている恐れがあります」とし、「侵害したFortiGate機器から設定情報をエクスポートする手口が使われたことが推定されて」いるとしています。FBI・シークレットサービスも、使い回された認証情報や漏えいした認証情報と、古い SHA-256 方式のパスワード保存が悪用されているとしています。
被害は機器の中にとどまらない可能性があります。JPCERT/CC は、攻撃者が侵害した FortiGate を経由して内部の認証の通信を傍受するツールを持っており、「Windowsドメイン認証（Kerberos・NTLM）の資格情報まで窃取・解読された事例が確認されています」としています。
新しい脆弱性？過去の漏えいの再利用？
Fortinet の PSIRT ブログ（2026年6月19日）は、初期分析として、過去のインシデントの認証情報の再利用と、パスワード管理が弱く MFA のない機器への総当たりが関わっているとし、「This is not a new Fortinet vulnerability, and this activity is not related to any recent incident or advisory.」と書いています。
JPCERT/CC もこれを「新規の脆弱性や直近のアドバイザリに関連するものではなく、過去のインシデントで取得された情報の再利用が主因との見解」と紹介しています。ただし同じ注意喚起は、現在も有効な認証情報が含まれている可能性を指摘する研究者がいるとして、「過去情報の再流通としてのみ扱うべきではない」と続けています。SOCRadar も「There is no single CVE behind it」（単一の CVE が原因ではない）としています。新しい脆弱性ではない一方で、昔の漏えいだから関係ないとも言えない、というのが公式発表の内容です。
10月の Unit 42 の報告・CVE-2025-61624 との関係
Unit 42（Palo Alto Networks の研究チーム）の報告によると、2024年9月に通信事業者が侵害され、攻撃者は FortiManager（FortiGate を一元管理する製品）の脆弱性 CVE-2024-47575 で侵入し、500台を超える管理下の FortiGate の設定や暗号鍵などを持ち出しました。その後 CVE-2025-61624 で root 権限を得て、メモリ上だけで動く不正プログラム「PEERSTITCH」を仕込んだとしています。Unit 42 は、顧客のネットワークは調べておらず、顧客ネットワークへの侵入が確認されたものではないとしています。FBI のアドバイザリを参考資料に挙げていますが、この事例が FortiBleed の一部だとは書いていません。
CVE-2025-61624 は Fortinet が2026年4月14日に FG-IR-26-122 で公表したもので、悪用には読み書き権限のある管理者アカウントが必要です。FortiOS は 7.6.5 以上・7.4.10 以上が修正版で、7.2・7.0・6.4 は修正済みの版への移行とされています。CISA が KEV に追加した理由と FortiBleed との関係は、公式に記載がありません。
日本の機器は含まれる？
JPCERT/CC は「当該情報に国内企業に関連するものが含まれていることを確認しています」と明記し、悪用された場合は「VPN機器への不正アクセスを起点として、内部ネットワークへの侵入・横展開へと被害が拡大する可能性があります」としています。国内の台数や組織数は公式に記載がありません。SOCRadar は組織名を公開せず、影響を受けた組織や CERT／CSIRT に直接共有するとしています。
利用企業が確認すること（公式に挙げられた対策）
JPCERT/CC・Fortinet・FBI／シークレットサービスが挙げた確認と対策だけを並べます。具体的な操作は出典の原文で確かめてください。
1. 影響の有無を確かめる（JPCERT/CC）
- 設定のエクスポートの痕跡：FortiGate のログで設定（config）のエクスポート履歴を確認する。管理者と REST API アカウントの両方の操作履歴を見る
- 不審な管理者アクセス：正規の利用で想定されない IP アドレスからの管理者アクセスがないか確認する
- 検索サービスでの照会：Hudson Rock と SOCRadar が検索ツールを公開。ただし FortiGuard のライセンス登録を委託先や SIer が代行していた場合、自社のドメインが結果に出ないケースが想定される
- 設定とログの調査：「forticloud」「fortiuser」「fortinet-support」「fortinet-tech-support」などの意図しないアカウント、正常時の設定との差分、ドメインコントローラーのログ（AD/LDAP 連携用の AD アカウントがある場合は特に）を確認する
JPCERT/CC は、照会で該当しなくても、サイト間 IPsec VPN で常時接続している相手の拠点の機器が侵害されていれば、そこから侵害が及ぶ可能性があるとしています。
2. 漏えいの可能性が高い・痕跡があるとき
- JPCERT/CC は、Fortinet の侵害時の推奨手順を参考に、認証情報のローテーション（入れ替え）などを行うよう推奨
- Fortinet は、痕跡があれば機器を侵害されたものとして扱い、VPN ユーザーの作成や予期しないパスワードのリセットなどを確認し、AD/LDAP 連携のアカウントも侵害されたものとして監視するよう求め、内部ネットワークの侵害が疑われる場合は Fortinet サポートへの連絡を案内
3. 影響が確認できなくても行う対策
- セッション切断とパスワード再設定：すべての管理者・VPN セッションを切断し、VPN と管理者のパスワードを再設定。特にインターネットに面したシステムで、強いパスワードポリシーを適用（Fortinet・FBI／シークレットサービス）
- MFA：すべての管理者と VPN ユーザーで MFA を使う（Fortinet・JPCERT/CC）。FBI／シークレットサービスは、フィッシングに強い MFA を求めています
- ファームウェアの更新と PBKDF2：Fortinet は管理者認証情報の PBKDF2 方式のハッシュに対応する 7.4・7.6・8.0 の最新版への更新を推奨。JPCERT/CC は「FortiOSをPBKDF2対応ファームへ更新してください」とし、パスワードを再設定しても既定では旧 SHA256 ハッシュが old-password に残るため、Fortinet の技術資料を参考に対処するよう求めています
- 設定とログの確認：ユーザーや設定の不正な変更を既知の正常な設定と比べ、未知の IP からの管理者アクセスやドメインコントローラーのログを確認（Fortinet・FBI／シークレットサービス）
- 管理画面へのアクセス制限：信頼するホストの指定（good）、local-in ポリシー（better）、インターネットからの管理をなくす（best）（Fortinet）
- REST API キーの見直し：用途を確認し、不明なキーは削除、正当なキーも更新（FBI／シークレットサービス）
Fortinet の技術資料によると、古いハッシュを消す設定を有効にすると、PBKDF2 に対応しない版へ戻したときに管理者がログインできなくなる旨の警告が出ます。設定名は版で異なるため、技術資料で確認してください。
VPN を使う社員・一般の利用者は
公式発表は機器を運用する組織向けで、VPN を使う社員など個人向けの案内は公式に記載がありません。会社からパスワード変更や MFA の設定を求められたら、社内の情報システム部門の案内に従ってください（一般的な注意。公式の案内ではありません）。
公式に記載がないこと（2026年10月24日確認）
- 日本国内の台数・組織数・業種
- 漏えいした認証情報がいつ取得されたものか
- Fortinet から顧客への連絡の方法と、終わる時期（「in the days to come」とだけ書かれている）
- Fortinet の2026年6月19日より後の続報（PSIRT ブログ一覧にそれより新しい記事はない）
- Unit 42 の事例や、CISA が CVE-2025-61624 を KEV に追加した理由と、FortiBleed との関係
- ロックアウトやランサムウェアの被害を受けた組織の数
- VPN を使う社員など個人向けの案内
続報の見方
続報は、JPCERT/CC の注意喚起の「最終更新」の日付、Fortinet の PSIRT ブログ一覧、FBI の IC3 の業界向けアラート一覧で確かめられます。Fortinet は「Our response and mitigation efforts remain ongoing.」（対応は継続中）としています。SNS や転載より、公式の発表を優先してください。
関連記事
- 【Coathanger】オランダ国防省のネットワークに侵入した中国のサイバー攻撃（FortiGate を狙った過去の事案）
- PHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順（同じ時期の脆弱性の解説）
- Node.jsの脆弱性10件、自分は対象？修正版と今やること【2026年10月】（同じ時期の脆弱性の解説）
よくある質問
FortiBleedとは何ですか？何が漏れたのですか？
A. Fortinet製FortiGateなどに関連する認証情報が漏えいしたとされる事案の通称です。JPCERT/CCは、SOCRadarの確認として194か国の86,644台以上の機器のログイン情報が攻撃者のデータベースに含まれていると紹介し、設定ファイルの管理者パスワードのハッシュがオフライン解析で解読されている恐れもあるとしています。
FortiBleedは新しい脆弱性ですか？
A. Fortinetは新しい脆弱性ではないとし、過去のインシデント（FG-IR-26-060、FG-IR-25-647）の認証情報の再利用と、MFAのない機器への総当たりが原因との見方です。ただしJPCERT/CCは、現在も有効な認証情報が含まれている可能性を指摘する研究者がいるとして、過去情報の再流通としてのみ扱うべきではないとしています。
日本の企業の機器も含まれていますか？
A. JPCERT/CCは、漏えいした情報に国内企業に関連するものが含まれていることを確認しています。国内の台数や組織数は公式に記載がありません。
自社が対象かどうかはどう確かめますか？
A. JPCERT/CCは、設定のエクスポートの痕跡、不審な管理者アクセス、検索サービスでの照会、意図しないアカウントやドメインコントローラーのログの確認を挙げています。ライセンス登録を委託先が代行していた場合、照会で自社のドメインが出ないことがあるとしています。Fortinetは、影響を受けた可能性のある顧客に連絡を進めているとしています。
パスワードを変えれば十分ですか？
A. 公式発表は、パスワードの再設定に加えて、MFA、PBKDF2対応ファームへの更新、設定とログの確認、管理画面へのアクセス制限を挙げています。JPCERT/CCは、パスワードを再設定しても既定では旧SHA256ハッシュが残るとしています。FBI・シークレットサービスは、攻撃者がアカウントを無効にしたりパスワードを変えたりして組織が締め出される場合があるとしています。
まとめ
- FortiBleed は FortiGate などの認証情報が漏えいしたとされる事案。SOCRadar の発表によると194か国・86,644台超
- Fortinet は新しい脆弱性ではないとし、過去のインシデントの認証情報の再利用と総当たりが原因との見方。JPCERT/CC は過去情報の再流通としてのみ扱うべきではないという指摘も紹介
- JPCERT/CC は国内企業に関連する情報を確認。10月の Unit 42 の報告は別の侵害事例で、FortiBleed との関係は公式に記載なし
- 利用企業は、パスワード再設定、MFA、PBKDF2 対応ファームへの更新と旧ハッシュの削除、設定・ログ・API キーの確認、管理画面へのアクセス制限を、公式の原文で確かめながら進める
この記事は、2026年10月24日に確認した公式発表の内容で書いています。続報が出た場合は、JPCERT/CC と Fortinet の公式の発表を優先してください。
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を299件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
出典
- JPCERT/CC「Fortinet製品に関連する認証情報の漏えいに関する注意喚起」（JPCERT-AT-2026-0019・2026年6月23日）
- Fortinet「Analysis of Reported Credential Compromise of FortiGate Devices」（2026年6月19日）／Fortinet「Attacks at the Speed of AI」（2026年3月6日）
- FortiGuard Labs PSIRT：FG-IR-25-647／FG-IR-26-060／FG-IR-26-122（CVE-2025-61624）／FG-IR-24-423（CVE-2024-47575）
- Fortinet Community「Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later」／「Troubleshooting Tip: Recommended steps to execute in case of a compromised host」
- FBI・米シークレットサービス「FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts」（JCSA-20261006-01・2026年10月6日・PDF）
- CISA「Known Exploited Vulnerabilities Catalog」（CVE-2025-61624 の追加日 2026年10月16日）／NVD「CVE-2025-61624」
- SOCRadar「FortiBleed: The Campaign That Cracked 86,644 Firewalls」（2026年6月16日公開・9月3日更新）
- Palo Alto Networks Unit 42「Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant」（2026年10月14日）
- IPA「重要なセキュリティ情報」2026年度／IPA「Fortinet製品における認証回避の脆弱性について（CVE-2025-59718等）」（2025年12月17日）
いずれも2026年10月24日に確認。
コメント